CentOS 5 / 6：libexif（CESA-2012:1255）

high Nessus プラグイン ID 62047

Language:

概要

リモート CentOS ホストに１つ以上のセキュリティ更新がありません。

説明

複数のセキュリティ問題を修正する libexif パッケージの更新が、Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

libexif パッケージでは、Exchangeable イメージファイルフォーマット（Exif）ライブラリが提供されます。Exif は、メタデータが特定のタイプのイメージファイルに追加されたり、これから読み取られたりすることを可能にします。

libexif が Exif タグを処理する方法に複数の欠陥が見つかりました。攻撃者が、libexif に対してリンク付けされたアプリケーションで開いたときに、アプリケーションをクラッシュさせたり、アプリケーションの実行ユーザーの権限で任意のコードを実行したりすることができる、特別に細工されたイメージファイルを作成することが可能です。（CVE-2012-2812、CVE-2012-2813、CVE-2012-2814、CVE-2012-2836、CVE-2012-2837、CVE-2012-2840、CVE-2012-2841）

Red Hat は、これらの問題を報告してくれた Dan Fandrich 氏に感謝の意を表します。
Upstream は、Google セキュリティチームの Mateusz Jurczyk を CVE-2012-2812、CVE-2012-2813、および CVE-2012-2814 の最初の報告者と、また Yunho Kim を CVE-2012-2836 および CVE-2012-2837 の最初の報告者と認識しています。

libexif のユーザーは、この更新パッケージにアップグレードすることが推奨されます。これには、この問題を解決するバックポートされたパッチが含まれます。この更新を有効にするためには、libexif に対してリンク付けされたすべての実行アプリケーションを再起動する必要があります。